In soli due giorni al Pwn2Own 2024 a Tokyo, i ricercatori hanno compromesso una serie di caricabatterie per veicoli elettrici, sistemi operativi e componenti Tesla e hanno portato alla luce dozzine di vulnerabilità zero-day lungo il percorso.

Il Pwn2Own dell'anno scorso a Vancouver ha flirtato con le auto come superficie di attacco, aggiungendo Tesla al mix insieme alle competizioni per hackerare server più tradizionali, applicazioni aziendali, browser e simili. Ma l'evento di quest'anno è andato al massimo e i risultati sono stati illuminanti. Il primo giorno da soli, i concorrenti hanno dimostrato 24 zero-day unici, guadagnando $ 722,500 in vincite. Secondo giorno ha visto 20 nuovi exploit e l'ultimo, terzo giorno, ne promette altri nove.

"I veicoli stanno diventando sempre più un complesso sistema di sistemi", afferma Dustin Childs, responsabile della consapevolezza delle minacce per Zero Day Initiative (ZDI) di Trend Micro, il gruppo che ospita l'evento. "Non sono state condotte molte ricerche in quest'area in passato e, in base alla nostra esperienza, la mancanza di controllo esterno significa che potrebbero esserci molti problemi di sicurezza."

Hacking nelle Tesla

L'evento che ha attirato l'attenzione al Pwn2Own dello scorso anno è stato quando un team di Synacktiv con sede a Tolosa è riuscito a violare una Tesla Model 3 in meno di due minuti.

Quest'anno, Synacktiv è tornata con gli exploit delle stazioni di ricarica Ubiquiti Connect e JuiceBox 40 Smart EV, ChargePoint Home Flex (uno strumento di ricarica per veicoli elettrici a casa) e l'autoesplicativo Automotive Grade Linux. I suoi risultati più notevoli, tuttavia, sono stati una catena di exploit di tre bug contro il modem di Tesla e una catena di due bug contro il suo sistema di infotainment, ciascuna delle quali ha fruttato un premio in denaro di $ 100,000.

Secondo le regole dell'evento, i fornitori hanno 90 giorni per correggere i propri difetti di sicurezza prima che possano essere divulgati pubblicamente. Ma in un'e-mail da Tokyo, i cracker di Synacktiv hanno fornito a Dark Reading una panoramica di alto livello di come si presentavano gli attacchi: 

“L’attacco viene inviato da un’antenna GSM che emula un falso BTS (operatore di telecomunicazioni canaglia). Una prima vulnerabilità dà accesso root alla scheda modem della Tesla", hanno scritto. “Un secondo attacco salta dal modem al sistema di infotainment. E bypassando le funzionalità di sicurezza di questo processo, è possibile accedere a più apparecchiature dell'auto come i fari, i tergicristalli o aprire il bagagliaio e le portiere."

Con Tesla, afferma Renaud Feil, CEO di Synacktiv, “è una medaglia a due facce. È un'auto che ha un'enorme superficie d'attacco: tutto è IT in una Tesla. Ma hanno anche un forte team di sicurezza e cercano di prestare molta attenzione alla sicurezza. Quindi è un obiettivo enorme, ma è un obiettivo difficile”.

Auto moderne a un bivio

"La superficie di attacco delle auto sta crescendo e sta diventando sempre più interessante, perché i produttori stanno aggiungendo connettività wireless e applicazioni che consentono di accedere all'auto in remoto tramite Internet", afferma Feil.

Ken Tindell, direttore tecnologico di Canis Automotive Labs, concorda con questo punto. “Ciò che è veramente interessante è come così tanto riutilizzo dei computer tradizionali nelle auto porti con sé tutti i problemi di sicurezza dei computer tradizionali nelle auto”.

"Le automobili hanno questa caratteristica dei due mondi da almeno 20 anni", spiega. In primo luogo, “c'è l'informatica tradizionale (non fatta molto bene) nel sistema di infotainment. Abbiamo avuto questo problema nelle auto già da un po' ed è stato all'origine di un gran numero di vulnerabilità: nel Bluetooth, nel Wi-Fi e così via. E poi c'è l'elettronica di controllo, e i due sono domini molto separati. Naturalmente si verificano problemi con l'infotainment inizia a toccare il bus CAN significa parlare con i freni, i fari e cose del genere."

È un enigma che dovrebbe essere familiare ai professionisti OT: gestire le apparecchiature IT insieme ai macchinari critici per la sicurezza, in modo tale che i due possano lavorare insieme senza diffondere i fastidi del primo al secondo. E, naturalmente, i diversi cicli di vita dei prodotti tra tecnologia IT e OT – le automobili durano molto più a lungo rispetto, ad esempio, ai laptop – che servono solo a rendere il divario ancora meno evidente.

Come potrebbe essere la sicurezza dell'auto

Per avere un’idea di dove sta andando la sicurezza informatica dei veicoli, si potrebbe iniziare dall’infotainment, la superficie di attacco più grande e più evidente nelle auto di oggi. Qui si sono sviluppate due scuole di pensiero.

“Una è: non preoccupiamoci, perché non staremo mai al passo con i cicli di prodotto delle automobili. Apple CarPlay e Android Auto: questa è la strada da seguire. Quindi il produttore dell’auto fornisce uno schermo e poi il tuo telefono fornisce il materiale di infotainment”, spiega Tindell. "Penso che sia un buon approccio, perché il tuo telefono è chiaramente una tua responsabilità, Apple lo tiene aggiornato, è tutto riparato e poi la tua auto fornisce solo uno schermo."

“L’altra scuola di pensiero è lasciare che queste grandi aziende prendano il controllo delle funzioni chiave delle vostre auto. Acquista in licenza un sistema operativo da Google e ora è l'equivalente di Google CarPlay, ma direttamente collegato all'auto", afferma. Con un’azienda come Google al comando, “esiste un meccanismo di aggiornamento, proprio come aggiorna i loro telefoni Pixel. La domanda è: tra 10 anni, riceverai ancora aggiornamenti per la tua auto una volta che Google si annoierà e proverà a spegnerla?

Ma anche se i produttori riuscissero a spremere una parte della superficie di attacco (improbabile) o ad esternalizzare la responsabilità di supervisionarla a terzi (in modo imperfetto), Pwn2Own 2024 ha dimostrato che avranno ancora molti più problemi di cui tenere conto: EV caricabatterie per modem, sistemi operativi e altro ancora.

Dove deve andare l’industria

Per Tindell, ciò che è veramente importante è mantenere l'informatica mainstream lontana dai sistemi di controllo, in modo che ci sia un punto di strozzatura. "Sfortunatamente, alcuni dei punti di strozzatura finora non sono stati ben sviluppati ed è possibile risolverli alla fine di una catena di exploit", aggiunge.

"Penso che sappiano cosa fare", afferma Feil di Synacktiv. "È lo stesso processo che si applica al resto del settore IT: investire nella sicurezza informatica, fare alcuni controlli, hackerare le tue cose finché non diventa molto difficile da hackerare."

Portare i produttori a quel punto, a suo avviso, potrebbe richiedere un intervento esterno. “L’industria è stata in grado di reagire per limitare la regolamentazione”, afferma Feil. “La loro narrazione è: stiamo attraversando un momento difficile, perché tutti ci chiedono di passare alle auto elettriche, e questo potrebbe incidere pesantemente sui nostri profitti. Ma devono dimostrare che stanno facendo qualcosa quando si tratta di sicurezza informatica”.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/ics-ot-security/pwn2own-2024-teslas-hacked-dozens-new-zero-days-evs